BDS/Hupigon.bsw - Backdoor Server

Vea también

Resumen

Descripción completa

Estadísticas

Nombre:	BDS/Hupigon.bsw
Descubierto:	14/07/2006
Tipo:	Servidor Backdoor
En circulación (ITW):	No
Número de infecciones comunicadas:	Bajo
Potencial de propagación:	Bajo
Potencial dañino:	Medio
Fichero estático:	Sí
Tamaño:	511.488 Bytes
Suma de control MD5:	39086acf09522704e1e4f924076fa9ca
Versión del VDF:	6.35.00.164
Versión del IVDF:	6.35.00.203

General Método de propagación:
   • No tiene rutina propia de propagación

Alias:
   • Mcafee: BackDoor-AVW
   • Kaspersky: Backdoor.Win32.Hupigon.bsw
   • TrendMicro: BKDR_HUPIGON.VH
   • F-Secure: Backdoor.Win32.Hupigon.bsw
   • Bitdefender: Backdoor.Hupigon.XB

Plataformas / Sistemas operativos:
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efectos secundarios:
   • Desactiva los programas de seguridad
   • Suelta ficheros dañinos
   • Reduce las opciones de seguridad
   • Modificaciones en el registro
   • Posibilita el acceso no autorizado al ordenador

Inmediatamente después de su ejecución, muestra la siguiente información:

Ficheros Se copia a sí mismo en las siguientes ubicaciones:
   • %SYSDIR%\fservice.exe
   • %SYSDIR%\sservice.exe
   • %WINDIR%\services.exe

Elimina la copia inicial del virus.

Crea los siguientes ficheros:

– %directorio donde se ejecuta el programa viral%\%ficheros ejecutados%.bat Además, el fichero es ejecutado después de haber sido creado. Este fichero batch es empleado para eliminar un fichero.
– %SYSDIR%\winkey.dll Los análisis adicionales indicaron que este fichero es también viral. Detectado como: BDS/Probat.bs.DLL2

– %SYSDIR%\reginv.dll Los análisis adicionales indicaron que este fichero es también viral. Detectado como: BDS/Probat.B.77.A

– %WINDIR%\ktd32.atm En este fichero se registran las pulsaciones de teclado.

Registro Añade la siguiente clave del registro para ejecutar el proceso al iniciar el sistema:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\
   Run]
   • "DirectX For Microsoft® Windows"="%SYSDIR%\fservice.exe"

Añade las siguientes claves al registro:

– [HKCU\Software\Microsoft\Windows NT Script Host\Microsoft DxDiag\
   WinSettings]
   • "Bulas"="1"
   • "FW_KILL"="1"
   • "XP_FW_Disable"="1"
   • "XP_SYS_Recovery"="1"
   • "ICQ_UIN"=""
   • "ICQ_UIN2"=""
   • "Kurban_Ismi"="whbuhl"
   • "Mail"=""
   • "Online_List"="iuuq;..`ev`v/odughslr/bnl.bfh,cho.qsns`u/bfh"
   • "Port"="4001"
   • "Sifre"="032547"
   • "Hata"=""
   • "KSil"="1"
   • "LanNotifie"=""

– [HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\
   {5Y99AE78-58TT-11dW-BE53-Y67078979Y}]
   • "StubPath"="%SYSDIR%\sservice.exe"

Modifica las siguientes claves del registro:

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
   Valor anterior:
   • "Shell"="Explorer.exe "
   Nuevo valor:
   • "Shell"="Explorer.exe %SYSDIR%\fservice.exe"

Desactiva el cortafuego de Windows XP:
– [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess]
   Valor anterior:
   • "Start"=%configuración definida por el usuario%
   Nuevo valor:
   • "Start"=dword:00000004

– [HKLM\SYSTEM\CurrentControlSet\Services\srservice]
   Valor anterior:
   • "Start"=%configuración definida por el usuario%
   Nuevo valor:
   • "Start"=dword:00000004

– [HKLM\SYSTEM\ControlSet001\Services\srservice]
   Valor anterior:
   • "Start"=%configuración definida por el usuario%
   Nuevo valor:
   • "Start"=dword:00000004

Finalización de los procesos Listado de los servicios desactivados:
   • wscsvc
   • sharedaccess
   • srservice
   • navapsvc

Backdoor (Puerta trasera) Abre los siguientes puertos:

– services.exe en el puerto TCP 5110 para proporcionar capabilidades de backdoor.
– services.exe en el puerto TCP 5112 para funcionar como servidor FTP.
– services.exe en el puerto TCP 51100 para funcionar como servidor FTP.

Servidor contactado:
La siguiente:
   • http://adwaw.netfirms.com/cgi-bin/**********

De esta forma, puede enviar informaciones y obtener el control remoto. Esto se realiza mediante una interrogación HTTP GET en un script CGI.

Envía informaciones acerca de:
    • Contraseñas guardadas
    • Nombre del ordenador
    • Velocidad del procesador
    • Tipo del procesador
    • Dirección IP
    • Puerto abierto
    • Hora del sistema
    • URL visitada
    • Informaciones acerca del sistema operativo Windows

Capabilidades de control remoto:
    • Fallo de conexión
    • Cambiar directorio
    • Delete file (es)
    • Listar directorio
    • Editar el registro del sistema
    • Ejecutar fichero
    • Enviar mensajes de correo

Robo de informaciones Intenta robar las siguientes informaciones:

– Las contraseñas de los siguientes programas:
   • CuteFTP
   • FlashFXP
   • Trillian
   • Microsoft Outlook Express
   • Yahoo Messenger
   • MSNMessenger
   • NetMeeting

Inyectar el código viral en otros procesos – Inyecta el siguiente fichero en un proceso: winkey.dll

    Nombre del proceso:
   • %todos los procesos activos%

– Inyecta el siguiente fichero en un proceso: reginv.dll

    Nombre del proceso:
   • %Procesos con ventanas visibles%

Datos del fichero Lenguaje de programación:
El programa de malware ha sido escrito en MS Visual C++.

Programa de compresión de ejecutables:
Para agravar la detección y reducir el tamaño del fichero, emplea un programa de compresión de ejecutables.

Para una breve descripción vea el resumen aquí.

Descripción insertada por Adriana Popa el Wed, 06 Sep 2006 10:34 (GMT+1)
Descripción actualizada por Adriana Popa el Wed, 13 Sep 2006 15:01 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« volver